Elementor en lui-même ne pose pas de problème du point de vue de la protection des données. Cela devient critique avec quatre briques que presque chaque site utilise — et qui, dans leur réglage par défaut, transmettent des données à des tiers avant que le visiteur n'ait consenti à quoi que ce soit.
Une précision d'emblée, parce qu'elle s'impose : je ne suis pas avocat. Ce qui suit est la mise en œuvre technique issue de la pratique. Pour une appréciation juridiquement contraignante de votre site concret, adressez-vous à quelqu'un de qualifié.
1. Les polices : le cas isolé le plus fréquent
Lorsque Elementor intègre des Google Fonts, le navigateur de votre visiteur charge la police depuis un serveur de Google. Son adresse IP est alors transmise — sans consentement et sans qu'il s'en aperçoive. C'est précisément l'objet de la décision de justice allemande bien connue à ce sujet, et le raisonnement se transpose à l'Autriche.
La solution : héberger les polices vous-même. Vous téléchargez les fichiers de police et les intégrez via votre propre domaine. Elementor prend en charge les polices personnalisées sous Elementor → Polices personnalisées ; il existe par ailleurs des extensions qui effectuent la bascule automatiquement.
Vérifiez ensuite qu'aucune connexion ne part plus vers l'extérieur. Dans les outils de développement du navigateur, l'onglet « Réseau » affiche toutes les ressources chargées — filtrez sur googleapis et gstatic. Il ne suffit pas d'effectuer la bascule ; souvent, le thème charge en plus ses propres polices.
Effet secondaire : les polices hébergées localement se chargent en général plus vite et évitent les sauts de mise en page, voir Elementor et les Core Web Vitals.
2. Google Maps
Le widget de carte intègre Google Maps directement — avec transmission de données dès l'affichage de la page, avant même que quiconque touche la carte.
La solution propre est celle du double clic : d'abord n'apparaît qu'un espace réservé accompagné d'une mention indiquant que des données seront transmises à Google lors du chargement. La carte n'est chargée qu'après un clic actif. Un outil de gestion du consentement qui bloque ce type d'intégration s'en charge.
Pour beaucoup de sites, la variante plus simple suffit de toute façon : une capture d'écran de la carte accompagnée d'un lien « Calculer l'itinéraire ». Aucun traçage, page plus rapide, même service pour le visiteur.
3. YouTube et Vimeo
Une vidéo intégrée dépose des cookies au chargement et transmet des données — là aussi avant toute interaction.
Le widget vidéo propose l'option mode de confidentialité (chez YouTube, la variante « nocookie »). Cela réduit le traçage, mais ne le supprime pas entièrement. Ne vous y fiez pas seul.
La voie fiable est là aussi : afficher une image d'aperçu et ne charger la vidéo qu'après un clic. C'est en plus bénéfique pour le temps de chargement, car le script vidéo n'est pas chargé avec le reste.
4. Les formulaires
Pour le formulaire, il s'agit moins d'intégration que de traitement des données.
Minimisation des données. Ne demandez que ce dont vous avez réellement besoin. Un champ obligatoire « numéro de téléphone » pour une demande écrite est difficile à justifier — et vous coûte en plus des demandes.
Renvoi vers la politique de confidentialité. Une phrase près du formulaire indiquant à quoi les données servent.
Case de consentement, mais correctement. Elle ne doit pas être pré-cochée et doit être formulée de manière compréhensible. Pour une simple demande de contact, une case n'est souvent même pas juridiquement nécessaire ; pour l'inscription à une newsletter, en revanche, elle l'est — et alors séparément de la finalité de contact.
Durée de conservation. Elementor Pro enregistre les envois de formulaire dans la base de données si vous le souhaitez. Pratique, mais vous collectez ainsi des données à caractère personnel sur votre serveur. Soit vous désactivez, soit vous supprimez régulièrement.
Protection anti-spam. Si vous utilisez le reCAPTCHA de Google, la même chose vaut que pour Maps : il transmet des données. Il existe des alternatives européennes, et pour beaucoup de petits sites un simple champ honeypot suffit.
Ce qui doit figurer dans la politique de confidentialité
Pour chacun de ces services : quel prestataire, quelles données, à quelle finalité, sur quelle base juridique. Si vous hébergez les polices vous-même, remplacez Maps par une capture d'écran et ne chargez les vidéos qu'au clic, le texte devient nettement plus court — c'est aussi un argument en faveur de ces solutions.
Vérifiez en outre si votre hébergeur propose un contrat de sous-traitance. Chez les prestataires autrichiens et allemands, c'est un standard.
Un mot sur la bannière cookies
Une bannière qui ne bloque pas réellement les scripts est un décor. Si Google Maps et YouTube se chargent de toute façon à l'ouverture de la page, la demande de consentement ne change rien à la transmission.
Et : un popup Elementor n'est pas un outil de gestion du consentement. Il ne documente aucun consentement et ne bloque rien — voir Créer un popup dans Elementor.
Elementor Pro : les polices personnalisées et le mode de confidentialité du widget vidéo font partie de Pro. Les formulaires également — avec le réglage de la durée de conservation, que vous devriez alors définir en connaissance de cause. Découvrir Elementor Pro
En bref
Héberger les polices soi-même. Ne charger cartes et vidéos qu'après un clic. Garder les formulaires sobres et ne pas conserver les envois indéfiniment. Vérifier ensuite dans le navigateur qu'aucune connexion indésirable n'est plus établie.
Ces quatre points couvrent ce que je rencontre le plus souvent dans les projets clients. Si vous voulez les parcourir ensemble sur votre site, c'est un sujet récurrent de ma formation Elementor.
Tags